Czy darmowy SSL Let's Encrypt wystarczy firmie? Porównanie DV, OV i EV, mit zielonego paska, 4 sytuacje gdy warto dopłacić i dobre praktyki wdrożenia HTTPS.
Dla zdecydowanej większości stron firmowych i sklepów darmowy certyfikat Let's Encrypt w zupełności wystarczy. Szyfrowanie jest dokładnie tym samym szyfrowaniem co w certyfikatach za setki złotych - przeglądarka pokazuje tę samą kłódkę, a Google traktuje obie strony identycznie. Płatne certyfikaty różnią się nie kryptografią, lecz zakresem walidacji i dodatkami.
W tym tekście wyjaśniamy, czym jest Let's Encrypt i dlaczego jego certyfikaty są ważne tylko 90 dni, rozkładamy różnice między DV, OV i EV (oraz mit „zielonego paska"), wskazujemy cztery sytuacje, w których płatny certyfikat naprawdę ma sens, i podajemy dobre praktyki wdrożenia HTTPS niezależnie od wyboru.
To niekomercyjny urząd certyfikacji prowadzony przez fundację ISRG i wspierany przez największe firmy branży, który wystawia certyfikaty DV (Domain Validation) za darmo, automatycznie, na 90 dni z automatycznym odnowieniem. Krótki okres ważności to zaleta bezpieczeństwa: ogranicza szkody po ewentualnym wycieku klucza i wymusza automatyzację, dzięki czemu certyfikaty odnawiają się same, zanim wygasną - o ile hosting robi to poprawnie (nasz robi; co gdy automat zawiedzie, opisuje tekst o wygasłym certyfikacie).
Skala mówi sama za siebie: Let's Encrypt zabezpiecza dziś setki milionów domen i jest największym urzędem certyfikacji na świecie. Certyfikaty są rozpoznawane przez wszystkie współczesne przeglądarki i systemy.
| Cecha | Let's Encrypt (DV) | Płatny OV/EV |
|---|---|---|
| Siła szyfrowania | identyczna | identyczna |
| Kłódka w przeglądarce | tak | tak (bez wizualnej różnicy) |
| Weryfikacja firmy | nie | tak (widoczna w szczegółach) |
| Ważność | 90 dni (auto-odnowienie) | zwykle rok (ręczne odnowienie) |
| Koszt | 0 zł | od kilkuset zł rocznie |
| Wsparcie wystawcy | społecznościowe | komercyjne |
Jeśli jesteś w tych sytuacjach - mamy certyfikaty komercyjne z pomocą we wdrożeniu. Jeśli nie - nie dopłacaj: to najczęstszy zbędny koszt w rachunku za utrzymanie strony.
Na naszym hostingu Let's Encrypt instaluje się i odnawia automatycznie dla każdej domeny i subdomeny - zero kliknięć, zero opłat.
Tak - używa tych samych algorytmów i tej samej infrastruktury zaufania co certyfikaty płatne. „Darmowy" odnosi się do modelu finansowania urzędu certyfikacji (fundacja utrzymywana ze wsparcia branży), nie do jakości ochrony. Bank, który używa OV, jest szyfrowany tak samo jak Twoja strona z Let's Encrypt.
W praktyce nie. Przeglądarki od kilku lat pokazują tę samą kłódkę dla DV, OV i EV; różnice widać dopiero po wejściu w szczegóły certyfikatu, czego przeciętny użytkownik nie robi. Zaufanie budujesz dziś treścią, danymi firmy i opiniami, nie typem certyfikatu.
Nie, gdy odnawianie jest zautomatyzowane - a na dobrym hostingu jest domyślnie. Krótsza ważność zwiększa bezpieczeństwo i wymusza działający automat; branża idzie zresztą w tę samą stronę, systematycznie skracając maksymalną ważność certyfikatów komercyjnych.
Nie - bramki płatności wymagają szyfrowanego połączenia, a nie konkretnego typu walidacji. Płatności i tak realizuje operator na swojej stronie lub w swoim komponencie. Wyjątek: gdy operator albo audyt bezpieczeństwa wprost żąda OV.
Tak - certyfikaty na *.twojadomena.pl są dostępne bezpłatnie, wymagają jednak walidacji przez rekord DNS (DNS-01), co hosting musi obsługiwać automatycznie. Alternatywa dla wielu subdomen: osobny certyfikat dla każdej, wystawiany automatycznie - tak działa nasz hosting.
Tak, w dowolnym momencie i bez przerwy w działaniu strony: hosting wystawia nowy certyfikat i podmienia go na serwerze, a przeglądarki po prostu widzą kolejny ważny certyfikat. Jedyne pytanie brzmi, czy nie tracisz przy tym wymogu formalnego (OV w umowie z kontrahentem).
Wszystkie poradniki z kategorii: Hosting od podstaw